summer2008.zip/IRC-Worm.Win32.Agent.a
Wieder einmal verbreiten sich Würmer mit Backdoor Charakter über MSN.
Im März 2007 der Backdoor.Win32.IRCBot.aaq / BackDoor.IRC.Shadowbot, im Juni 2007 eine Variante davon: der Backdoor.Win32.IRCBot.aaq/Backdoor:W32/IRCBot.ABO, Backdoor.Win32.IRCBot.aaq
Nun eine weitere Variante:
summer2008.zip/IRC-Worm.Win32.Agent.a
Die Übermittlungs-/Verbreitungsnachricht erscheint in mehreren Sprachen:Mit dieser Nachricht werden sogenannte Bilderalben weitergereicht:Deutsch:
guck wie ******** Paris Hilton aussieht,
seitdem sie wieder aus dem knast ist : (
du und ich !!! ....guck : p
siehe meine fotos hihi : p
hey bitte nimm meine fotos an : o !!
ein foto mit meinem besten freund und mir : $ !!
das bin ich total nackt : o
bitte sende es niemand anderem
guck was ich im internet gefunden habe : o
jessica Alba NACKT !!
Englisch:
Look how wasted Paris Hilton is, after she got jailed : (
You and Me !!! .... look : p
Look at my photos hihi : p
Hey please accept my photos : o !!
A photo with me and my best friend : $ !!
This is me totaly naked : o
please dont send to anyone else
Look what i found on the NET : o
Jessica Alba NUDE !!
C:\WINDOWS\album39.zip
C:\WINDOWS\album84.zip
C:\WINDOWS\images091.zip
C:\WINDOWS\photo80.zip
C:\WINDOWS\photos030.zip
C:\WINDOWS\photos072.zip
C:\WINDOWS\picture56.zip
C:\WINDOWS\picture8.zip
C:\WINDOWS\pictures030.zip
C:\WINDOWS\pictures054.zip
etc..
Wenn diese zip-Dateien geöffnet werden, weil der Empfänger die Alben betrachten möchte, führt er den schädlichen Code auf seinem Rechner aus und startet den Wurm.
Ein infiziertes System erkennt man an folgenden Eintrag im HijackThis Logfile:
O21 - SSODL: printers - {B8A36B07-4FD4-41D8-BF28-806E1716790B} - notiffy.dll
Der Scan bei Virustotal am vergangenen Sonntag ergab folgendes Ergebnis:
Das bedeutet, dass der Wurm derzeit von folgenden Antivirus Programmen sicher erkannt wird:Scan au 22 Juillet :
File photo80.scr received on 07.22.2007 18:01:05 (CET)
Antivirus Version Last Update Result
AhnLab-V3 2007.7.21.0 2007.07.20 no virus found
AntiVir 7.4.0.44 2007.07.21 TR/Crypt.XPACK.Gen
Authentium 4.93.8 2007.07.20 no virus found
Avast 4.7.997.0 2007.07.22 no virus found
AVG 7.5.0.476 2007.07.21 no virus found
BitDefender 7.2 2007.07.22 Trojan.IRC.Agent.B
CAT-QuickHeal 9.00 2007.07.20 (Suspicious) - DNAScan
ClamAV devel-20070416 2007.07.22 no virus found
DrWeb 4.33 2007.07.22 no virus found
eSafe 7.0.15.0 2007.07.19 Suspicious Trojan/Worm
eTrust-Vet 30.8.3797 2007.07.20 no virus found
Ewido 4.0 2007.07.22 no virus found
FileAdvisor 1 2007.07.22 no virus found
Fortinet 2.91.0.0 2007.07.22 IRC/Agent.A!worm
F-Prot 4.3.2.48 2007.07.20 no virus found
F-Secure 6.70.13030.0 2007.07.22 IRC-Worm.Win32.Agent.a
Ikarus T3.1.1.8 2007.07.22 Backdoor.Win32.Rbot
Kaspersky 4.0.2.24 2007.07.22 IRC-Worm.Win32.Agent.a
McAfee 5079 2007.07.20 no virus found
Microsoft 1.2704 2007.07.22 no virus found
NOD32v2 2411 2007.07.21 probably unknown NewHeur_PE virus
Norman 5.80.02 2007.07.20 no virus found
Panda 9.0.0.4 2007.07.22 Suspicious file
Sophos 4.19.0 2007.07.17 no virus found
Sunbelt 2.2.907.0 2007.07.21 no virus found
Symantec 10 2007.07.22 no virus found
TheHacker 6.1.7.151 2007.07.22 no virus found
VBA32 3.12.2.1 2007.07.21 no virus found
VirusBuster 4.3.26:9 2007.07.21 no virus found
Webwasher-Gateway 6.0.1 2007.07.22 Trojan.Crypt.XPACK.Gen
Additional information
File size: 120832 bytes
MD5: e1d1e9e2b1882f2c99c6a131341dea21
SHA1: b5ba7987c7d5e15ff26be5436e674b3fac066ca8
packers: NTKrnl
AntiVir, BitDefender, eSafe, Fortinet, F-Secure, Ikarus, Kaspersky, Webwasher-Gateway und mittlerweile auch von Sophos:
summer2008.zip/IRC-Worm.Win32.Agent.a alias W32/Kik-A in einer Übersicht bei SOPHOS:
W32/Kik-A ist ein Wurm und IRC-Backdoortrojaner für die Windows-Plattform.
W32/Kik-A wird im Hintergrund ausgeführt und stellt einen Backdoorserver zur Verfügung, der Fremdzugriff auf und die Steuerung über den Computer über IRC-Kanäle ermöglicht.Entfernungshinweise:
- Ermöglicht Dritten den Zugriff auf den Computer
- Sendet sich an Adressen in Outlook-Adressbüchern
- Stiehlt Daten
- Lädt Code aus dem Internet herunter
- Speichert Tastenfolgen
- Installiert sich in der Registrierung
1. Schritt bei Windows XP und ME
(Windows XP und ME) Das System zurückstellen:
Du kannst dein System auf einen früheren Systempunkt zurückstellen, um den ehemals sauberen Zustand wieder zu erreichen. Damit ersparst du dir vielleicht die Reinigungsarbeiten:
Start-> Alle Programme-> Zubehör-> Systemprogramme-> Systemwiederherstellung-> Computer auf ein früheren Zeitpunkt wiederherstellen-> ok-> zurückliegendes Datum wählen (Info).
2. Schritt alle Systeme
- es wird empfohlen, das AntiVirus Programm zu updaten.
- Wer diesen Wurm auf seinem System hat und keines der oben angeführten AntiVirusprogramme auf dem Rechner hat,
- sollte sich eine kostenlose Version von Bitdefender downloaden, BitDefender 8 Free Edition
- das Programm online updaten.
- Desweiteren empfehlen wir den Download von Malekal's clean.zip,
- bitte auf dem Desktop speichern und in seiner Gesamtheit in einen eigenen Ordner "Clean" entpacken
(Windows-Tutorial).- Nun bitte das System aus dem Netz nehmen.
- Man bleibt im normalen Modus
- scannt sein System zunächst mit Bitdefender gründlich.
- dann startet man seinen Rechner neu auf
- in den abgesicherten Modus (Tipps & Tricks/TIPP 4)
- Nun öffnet man den neuen "Clean" Ordner auf dem Desktop,
- macht einen Doppelklick auf die "clean.cmd",
- es erscheint ein schwarzes Fenster mit einem Auswahlmenu.
- Hier nun die Option 2 wählen, womit der Reinigungsprozess gestartet wird.
- Während dieser Reinigungsarbeiten sollte man nichts am Rechner machen,
- sondern warten bis der jeweilige Reinigungsprozess beendet ist.
- Dann wird der Rechner wieder aufgestartet, in den normalen Modus.
- Nun sollte das System noch mit einem Online Scan gründlich gescannt werden, um sicher zu gehen, dass alle Spuren entfernt worden sind.
3. Schritt alle Systeme
Empfohlene Online Scans:
4. Schritt alle Systeme
- Desweiteren sollte die Registrierung gereinigt werden, am besten mit dem Regcleaner
- Dann wendet man ein Systemreinigungstool an, wir empfehlen den CCleaner (Crap Cleaner), entsprechend dieser Anleitung:
(Beachte: nimm bitte das Häkchen heraus bei der "Yahoo-Toolbar, sonst wird sie mitinstalliert.)(Windows XP und ME)
Setze Häkchen unter: "Windows", "Anwendung" und "Komponenten".
Schau die Screenshots an. Drücke auf "Run Cleaner"
Danach bitte den Rechner neu aufstarten.
Die Systemwiederherstellung:
Die Funktion, Systemwiederherstellung, die normalerweise auf "an" gestellt ist, ermöglicht eine Wiederherstellung des Systems im Falle, dass es beschädigt worden ist. Wenn ein Virus, Wurm oder Trojaner ein System infiziert, erstellt die Systemwiederherstellung ein Backup des Viruses, Wurms oder Trojaners auf dem Rechner und erstellt ihn neu. Folglich muss nach der Reinigung von Malware die Systemwiederherstellung im Wechsel deaktiviert und dann wieder aktiviert werden, dazwischen wird der Rechner neu gestartet. Zum Schluss muss die Systemwiederherstellung aktiviert, also angestellt sein.
Windows XP: bitte zur eigenen Sicherheit einen vorläufigen Systempunkt erstellen.
Anmerkung
Bei Systemen, die durch Würmer mit Backdoor Charakter kompromittiert worden sind, müssen alle auf dem System bewahrten Passworte geändert werden, da davon ausgegangen werden muss, dass alle vertrauliche Information ausspioniert worden ist.
Alternativ zu '2. Schritt alle Systeme'
empfehlen wir bei den Betriebssystemen
Windows 2K/XP/Vista
die Reinigung mit dem
Msncleaner von forospyware.com
wie weiter unten in diesem Thread und
in den Postings #2 und #3 empfohlen.
Bitte im Anschluss an die Reinigung mit dem Msncleaner
mit dem '3. Schritt' weitermachen.
-------------------------------
Es ist wichtig zu wissen, welche Infektion vorliegt, um zu entscheiden auf welche Weise das System gereinigt werden muss. Die neue Infektion unterscheidet sich von der Infektion mit dem letzten Wurm, der sich über MSN verbreitet hat, dem Trojan-Downloader.Win32.Agent.btu:
Damals lautete der Verbreitungstext:
bist du das, auf diesem Foto?
h**p://www.hothotpics.com/photo8.php
h**p://www.******.net/photo26.com
w*w.hot hotpeople.net/photo894.php
folgende Dateien wurden dabei freigesetzt:
call.exe / Dropper.Win32.Agent
services.exe / Trojan.Win32.Autoit.am
Dabei kam es dann zu einer Infektion mit dem Trojan Vundo, die entsprechend dieser Anleitung von den Systemen entfernt werden kann: VundoFix TR/Vundo Remover
-------------------------------
Sowie uns weitere Informationen vorliegen, werden wir unseren Beitrag ergänzen.
-------------------------------
Es gibt weitere Varianten dieser IRC Würmer,
die sich über MSN verbreiten:
Trojan.Dropper.Delf.HS
( Backdoor.Win32.IRCBot.acd, Trojan.MulDrop.7373, W32.SillyIRC, Backdoor:Win32/IRCbot.OP, W32/Backdoor.AZWJ )
This is a trojan which has the capabilities to drop and inject malware code into legitimate processes.
The variant having a higher spread comes with an embedded IM worm which is detected as Win32.Worm.Potos.A . It drops the worm as %system%\sysprinters.dll and then a copy of the whole package as %windir%\myalbum2007.zip.
The worm will run as a remote thread in explorer.exe. In order to infect other computers, the worm will try to fool users to download myalbum2007.zip pretending there are some pictures in the archive.
Übersetzung:
Der Trojaner tropft und injiziert Malware Code in legitime Prozesse.
Er ist weiter verbreitet als die anderen Würmer und geht einher mit einem eingelaerten Win32.Worm.Potos.A Wurm. Er tropft den Wurm als %system%\sysprinters.dll und eine Kopie des gesamten Paketes als %windir%\myalbum2007.zip aufs betroffene System.
Der Wurm läuft als Hintergrundprozess in der exlorer.exe. Um andere Rechner zu infizieren, wird der Wurm User dazu bringen, das 'myalbum2007.zip' herunterzuladen, indem er vorgibt, dass sich Bilder in diesem Archiv befänden.Sowohl Bitdefender als auch der angehängte MSNCleaner
können das befallene System reinigen.
-------------------------------
Uns liegen weitere Informationen über einen neuen IRC Wurm vor,
der seit dem 30.Juli 2007 via MSN verbreitet wird.
Einige der folgenden Dateien können auf einem betroffenen System wiedergefunden werden:
Downloade das neue MSNCleaner.zip,Code:C:\WINDOWS\system32\intlprinters.exe C:\WINDOWS\system32\libcintle2.dll C:\WINDOWS\album62.zip C:\WINDOWS\album77.zip C:\WINDOWS\album83.zip C:\WINDOWS\album86.zip C:\WINDOWS\image017.zip C:\WINDOWS\image029.zip C:\WINDOWS\image035.zip C:\WINDOWS\image038.zip C:\WINDOWS\image047.zip C:\WINDOWS\image050.zip C:\WINDOWS\image053.zip C:\WINDOWS\image074.zip C:\WINDOWS\image077.zip C:\WINDOWS\image08.zip C:\WINDOWS\image083.zip C:\WINDOWS\image086.zip C:\WINDOWS\image089.zip C:\WINDOWS\image098.zip C:\WINDOWS\images0.zip C:\WINDOWS\images12.zip C:\WINDOWS\images51.zip C:\WINDOWS\images84.zip C:\WINDOWS\images87.zip C:\WINDOWS\images90.zip C:\WINDOWS\photo39.zip C:\WINDOWS\photo60.zip C:\WINDOWS\photo63.zip C:\WINDOWS\photos2007_19.zip C:\WINDOWS\photos2007_31.zip C:\WINDOWS\photos2007_4.zip C:\WINDOWS\photos2007_40.zip C:\WINDOWS\photos2007_43.zip C:\WINDOWS\photo_album22.zip C:\WINDOWS\photo_album28.zip C:\WINDOWS\photo_album40.zip C:\WINDOWS\photo_album55.zip C:\WINDOWS\photo_album61.zip C:\WINDOWS\photo_album70.zip C:\WINDOWS\photo_album88.zip
das wir unserem Thread beigefügt haben,
falls du die Original URL bei forospyware.com nicht erreichen kannst: MSNCleaner.zip
-> Bitte folge unserer Anleitung, um dein System mit dem MsnCleaner.zip zu reinigen.
Führe zu deiner eigenen Sicherheit folgende Nachbereinigungsarbeiten durch:
- Scanne deinen Rechner nach der Reinigung mit dem Msncleaner mit:
- CureIt!
bitte downloaden,
Stelle unter Language 'deutsch' ein
Lass das System scannen und bereinigen.
- Führe einen Online Scan durch mit:
Bitdefender
- Lass dein System mit diesem Programm ebenfalls bereinigen.
- Scanne deinen Rechner danach mit einem der System Reinigungs Programme
(Windows XP und ME)
Die Systemwiederherstellung:
Die Funktion, Systemwiederherstellung, die normalerweise auf "an" gestellt ist, ermöglicht eine Wiederherstellung des Systems im Falle, dass es beschädigt worden ist. Wenn ein Virus, Wurm oder Trojaner ein System infiziert, erstellt die Systemwiederherstellung ein Backup des Viruses, Wurms oder Trojaners auf dem Rechner und erstellt ihn neu. Folglich muss nach der Reinigung von Malware die Systemwiederherstellung im Wechsel deaktiviert und dann wieder aktiviert werden, dazwischen wird der Rechner neu gestartet. Zum Schluss muss die Systemwiederherstellung aktiviert, also angestellt sein. Windows XP: Bitte zur eigenen Sicherheit einen Systemwiederherstellungspunkt erstellen.
Alle Systeme: bitte den Rechner neu aufstarten.
In English:
We have got some more information about a new IRC Worm
spread via the MSN since July 30.th 2007
You will find some of the following files on your machine:
Please load down the new MSNCleaner.zip which is attached to this threadCode:C:\WINDOWS\system32\intlprinters.exe C:\WINDOWS\system32\libcintle2.dll C:\WINDOWS\album62.zip C:\WINDOWS\album77.zip C:\WINDOWS\album83.zip C:\WINDOWS\album86.zip C:\WINDOWS\image017.zip C:\WINDOWS\image029.zip C:\WINDOWS\image035.zip C:\WINDOWS\image038.zip C:\WINDOWS\image047.zip C:\WINDOWS\image050.zip C:\WINDOWS\image053.zip C:\WINDOWS\image074.zip C:\WINDOWS\image077.zip C:\WINDOWS\image08.zip C:\WINDOWS\image083.zip C:\WINDOWS\image086.zip C:\WINDOWS\image089.zip C:\WINDOWS\image098.zip C:\WINDOWS\images0.zip C:\WINDOWS\images12.zip C:\WINDOWS\images51.zip C:\WINDOWS\images84.zip C:\WINDOWS\images87.zip C:\WINDOWS\images90.zip C:\WINDOWS\photo39.zip C:\WINDOWS\photo60.zip C:\WINDOWS\photo63.zip C:\WINDOWS\photos2007_19.zip C:\WINDOWS\photos2007_31.zip C:\WINDOWS\photos2007_4.zip C:\WINDOWS\photos2007_40.zip C:\WINDOWS\photos2007_43.zip C:\WINDOWS\photo_album22.zip C:\WINDOWS\photo_album28.zip C:\WINDOWS\photo_album40.zip C:\WINDOWS\photo_album55.zip C:\WINDOWS\photo_album61.zip C:\WINDOWS\photo_album70.zip C:\WINDOWS\photo_album88.zip
in the case that you can't reach the Original URL of forospyware.com:
MSNCleaner.zip.
Follow our instructions, to clean up your system with the MsnCleaner.zip.
- Please go on scanning your system after the cleaning with the Msncleaner with the free version of DrWeb:
- CureIt!
- and with the Online Scan of
- Bitdefender
- Let them both go on cleaning up your system.
- Please go on, use one of these system cleaning tools.
Windows XP and ME: Turn off System Restore. Right-click My Computer. Click Properties. Click the System Restore tab. Check Turn off System Restore. Click Apply, and then click OK. Reboot. Turn System Restore Back On. Right-click My Computer. Click Properties. Click the System Restore tab. UN-Check *Turn off System Restore*. Click Apply, and then click OK. Windows XP: Please create a new System Restore Point.
All systems: Please restart your system.
Thanks a lot @ InfoSpyware
-------------------------------
Sowie uns weitere Informationen vorliegen, werden wir unseren Beitrag ergänzen.
Getting more information, we will update our postings.
-------------------------------
Sollte es weitere Fragen und/oder Unklarheiten geben, stehen wir im Forum gerne zur Verfügung.
Any questions? Please ask us.
Unsere Information ist diesen Seiten entnommen:
www.malekal.com
www.bitdefender.com
www.forospyware.com
Wir bedanken uns sehr herzlich für die Information
